不正アクセスが増えている今、Web担当としてできること

最近、不正アクセスやサイバー攻撃に関するニュースを目にする機会が増えました。

企業のWebサイトやメール、クラウドサービスなど、仕事でインターネットを利用することが当たり前になった一方で、「自社のWeb環境は大丈夫だろうか」と不安を感じる方もいるのではないでしょうか。

特に中小企業や小規模事業者の場合、社内に専任のWeb担当者やセキュリティ担当者がいないことも珍しくありません。

IPA（情報処理推進機構）が公表している「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「ランサム攻撃による被害」「サプライチェーンや委託先を狙った攻撃」「AIの利用をめぐるサイバーリスク」「システムの脆弱性を悪用した攻撃」などが挙げられています。

また、IPAの「中小企業の情報セキュリティ対策ガイドライン」も2026年に第4.0版へ改訂されており、中小企業においても継続的なセキュリティ対策が重要になっています。

では、Webサイトを運営する側として、まず何をすればいいのでしょうか。

私は、最初から高度なセキュリティ対策を導入するよりも、まず「自分たちのWeb環境が今どうなっているのかを把握すること」が大切だと考えています。

まず確認したい、Webサイトまわりのこと

Webサイトのセキュリティについて考えるとき、専門的な話ばかりに目が行きがちです。

しかし、最初に確認したいのは意外と基本的なことです。

• WordPressやプラグインは更新されているか
• 誰がWebサイトを管理しているのか
• 管理者アカウントは必要な人だけになっているか
• パスワードを使い回していないか
• 多要素認証を設定できるサービスでは利用しているか
• サーバーやドメインの契約・管理者は誰なのか
• Webサイトのバックアップは取れているか
• 問題が起きたとき、誰に相談するのか決まっているか

このあたりを把握できているだけでも、「何が分からないのか分からない」という状態から一歩進むことができます。

WordPressを使っているなら、まず更新状況を確認

WordPressを利用している場合、WordPress本体だけでなく、テーマやプラグインなども継続的に更新していく必要があります。

古いバージョンを使い続けていると、公開されている脆弱性への対応ができていない可能性があります。

ただし、ここで注意したいのが、「何でもすぐに更新すればいい」というわけではないことです。

WordPressの構成によっては、プラグインの更新などによって表示が崩れたり、既存の機能が動かなくなったりする場合があります。

そのため、現在の環境を確認したうえで、必要に応じてバックアップを取得し、更新後の動作確認まで行うことが重要です。

特に長期間更新されていないWebサイトは、「最後にいつ更新したのか」「現在どのバージョンなのか」を確認するところから始めてみましょう。

管理者アカウントは整理されていますか？

もうひとつ確認しておきたいのが、WordPressや関連サービスのアカウントです。

Webサイトを長く運営していると、制作時に作ったアカウント、以前の担当者のアカウント、制作会社のアカウントなどが残っていることがあります。

現在も必要なアカウントなのか、誰が利用しているのか、どのような権限を持っているのかを一度整理してみましょう。

特に、すべてのユーザーが管理者権限になっている状態は避け、必要な人に必要な権限だけを与えるという考え方が重要です。

「誰が管理者なのか分からない」という状態なら、それ自体が一つの確認ポイントです。

パスワードと多要素認証も確認する

Webサイトの管理だけでなく、サーバー、ドメイン、メール、Googleアカウント、SNS、各種クラウドサービスなど、Web業務では多くのアカウントを利用します。

同じパスワードを複数のサービスで使い回している場合、ひとつのサービスで認証情報が漏れた際に、別のサービスまで不正利用されるリスクがあります。

サービスごとに異なるパスワードを設定することに加えて、対応しているサービスでは多要素認証（MFA）を利用することも基本的な対策のひとつです。

特に、Webサイトやサーバーを管理できる重要なアカウントについては、誰がログインできるのかも含めて確認しておきたいところです。

サーバーやドメインの管理情報も重要

Webサイトというと、ついWordPressやページそのものに目が行きます。

しかし、Webサイトを動かすためには、サーバーやドメインなどのサービスも必要です。

ここで意外と多いのが、

• 契約者が誰なのか分からない
• ログイン情報が社内に残っていない
• 制作会社しか管理画面に入れない
• ドメインの更新期限を把握していない
• 以前の担当者のメールアドレスで契約している

といったケースです。

制作会社にWebサイトの制作や運用を依頼している場合でも、「自社で管理するもの」と「外部に任せているもの」を整理しておくと安心です。

すべてを社内で管理する必要はありません。

大切なのは、誰が何を管理しているのかを把握していることです。

バックアップは「ある」だけでなく「戻せるか」

万が一Webサイトに問題が発生したとき、元の状態に戻せるかどうかも重要です。

そのためにはバックアップが必要になります。

ただ、「バックアップを取っています」というだけでは十分とは限りません。

どこに保存されているのか、どのくらいの頻度で取得しているのか、どのくらいの期間保存するのか、そして実際に復元できるのか。

こうした点まで確認できると、より安心です。

特にWebサイトを長期間運営している場合は、一度「今のサイトを復元できる状態になっているか」を確認してみることをおすすめします。

「うちは小さい会社だから大丈夫」は危険

サイバー攻撃というと、大企業や大規模なサービスが狙われるイメージがあるかもしれません。

しかし、インターネットにつながるシステムやサービスを利用している以上、企業規模だけで安全とは言えません。

さらに最近は、自社そのものだけでなく、取引先や委託先などを経由した攻撃も問題になっています。

IPAの「情報セキュリティ10大脅威 2026」でも、「サプライチェーンや委託先を狙った攻撃」が組織向けの2位に位置付けられています。

そのため、

「うちは小さいから狙われない」

ではなく、

「何か起きても、被害をできるだけ小さくできる状態にしておく」

という考え方が大切なのだと思います。

Webサイトだけではなく、メールやクラウドも確認する

もうひとつ忘れてはいけないのが、Webサイト以外のサービスです。

例えば、Webサイトの管理に使っているメールアカウントが不正利用されれば、Webサイトそのものとは別のところから被害が広がる可能性があります。

Googleなどのクラウドサービス、SNS、オンラインストレージ、チャットツール、広告サービスなども、Web業務とつながっている場合があります。

そのため、「Webサイトのセキュリティ」だけを考えるのではなく、Webサイトに関係するアカウント全体を一度棚卸しすることも重要です。

実際に不正アクセスが疑われたら

もし、身に覚えのない管理者アカウントが作られている、サイトの内容が勝手に変更されている、知らない場所からログインされた形跡があるなど、実際の被害が疑われる場合は注意が必要です。

この場合は、自己判断で何度もログインしたり、問題のあるファイルを不用意に削除したりする前に、利用しているサーバーやサービスの提供会社、セキュリティ専門家などへ相談することをおすすめします。

状況によっては、警察などの公的機関への相談が必要になる場合もあります。

IPAも、中小企業向けにインシデント発生時の対応手引きを公開しています。

「何かおかしい」と思った段階で、誰に連絡するのかを事前に決めておくことも、Webサイトを運営するうえで大切な準備のひとつです。

North Riverとしてできること

ここまで書いてきましたが、North Riverはセキュリティ専門会社ではありません。

そのため、専門的な脆弱性診断や高度なセキュリティ監視、インシデント対応を専門サービスとして提供しているわけではありません。

一方で、Web担当として日常的なWeb環境の整理や確認について、お手伝いできることがあります。

• WordPress本体・テーマ・プラグインの更新状況確認
• WordPressのユーザー・権限の整理
• 不要なアカウントの確認
• サーバー・ドメインなどの管理情報の整理
• バックアップ状況の確認
• Webサイトに関係するアカウントの棚卸し
• 多要素認証などの設定状況確認
• 制作会社・サーバー会社など外部パートナーとの確認や調整
• 問題が発生した際の状況整理や専門家への相談・連携

つまり、すべてをNorth Riverだけで解決するということではありません。

今どうなっているのかを整理して、必要なところを適切な相手につなぐ。

それも「外部Web担当」の役割のひとつだと考えています。

まずは「何が分からないのか」を整理する

セキュリティ対策というと、専門的で難しいものに感じるかもしれません。

もちろん、企業の規模や扱っている情報、システムによって必要な対策は変わります。

だからこそ、すべての企業に同じ対策が必要というわけではありません。

まずは、

• 誰がWebサイトを管理しているのか
• どんなサービスを使っているのか
• どんなアカウントがあるのか
• 誰にどんな権限があるのか
• WordPressなどは更新されているのか
• バックアップはあるのか
• 問題が起きたとき、誰に相談するのか

このあたりを一つずつ確認してみる。

分からないところがあれば、「分からない」ということ自体を整理する。

それだけでも、最初の一歩になります。

一人で全部やらなくてもいい

Webサイトを運営していると、制作、WordPress、サーバー、ドメイン、メール、SNS、アクセス解析、広告、セキュリティなど、いつの間にか管理するものが増えていきます。

それらをすべて社内だけで対応する必要はありません。

必要なところは制作会社やサーバー会社、セキュリティの専門家などに相談しながら、自社で把握しておくべき部分を整理する。

そして、その間に入ってWebまわりを支える。

North Riverでは、そうした「Webのことを、社外から支える」役割を大切にしています。

サイト制作だけではなく、日々の更新や改善、Web環境の整理、外部パートナーとのやり取りなど、「Web担当者がいないことで止まってしまうこと」を外部から支える。

もし、

• Webサイトの管理状況がよく分からない
• WordPressを長い間更新していない
• 誰が管理者なのか整理できていない
• 制作会社やサーバー会社とのやり取りを任せたい
• 何から確認すればいいのか分からない

ということがあれば、まずはお気軽にご相談ください。

すべてを一度に解決する必要はありません。

まずは、今のWeb環境を一緒に整理するところから。

North Riverは、Webのことを社外から支えていきます。